De decenii, atacatorii au avut avantaj în securitatea cibernetică. Inteligența artificială ar putea schimba acest lucru.

Într-o postare pe blog publicată marți, Mozilla, dezvoltatorul browserului Firefox, a declarat că o versiune timpurie a AI-ului Claude Mythos de la Anthropic – care a atras atenția în ultimele săptămâni pentru presupusa sa pricepere în securitatea cibernetică – a ajutat la identificarea a 271 de vulnerabilități în browser în timpul testării interne. Aceste bug-uri au fost corectate săptămâna aceasta.

Rezultatele subliniază modul în care sistemele AI avansate pot analiza baze de cod mari și pot localiza puncte slabe care anterior necesitau o revizuire manuală extinsă de către cercetătorii umani în securitate cibernetică.

„Pe măsură ce aceste capacități ajung în mâinile mai multor apărători, multe alte echipe experimentează acum același vertij pe care l-am simțit și noi când constatările au ieșit la iveală,” a scris Mozilla. „Pentru o țintă întărită, doar un singur astfel de bug ar fi fost o alertă roșie în 2025, iar atâtea deodată te fac să te întrebi dacă este chiar posibil să ții pasul.”

Mozilla testase anterior un alt model Anthropic care a identificat 22 de bug-uri sensibile la securitate într-o versiune anterioară de Firefox. În ciuda acestor succese, Mozilla a recunoscut că industria securității cibernetice a considerat de mult timp eliminarea completă a exploatărilor software drept un „obiectiv nerealist.”

„Până acum, industria a luptat în mare măsură pentru securitate într-o remiză,” a scris compania. „Furnizorii de software critic expus la internet, cum ar fi Firefox, iau securitatea extrem de în serios și au echipe de oameni care se trezesc în fiecare dimineață gândindu-se cum să-i mențină pe utilizatori în siguranță.”

Mozilla a declarat că noul sistem AI poate analiza codul sursă și poate identifica vulnerabilități în moduri care anterior depindeau de expertiza umană rară. Cu toate acestea, Mozilla a menționat că a fost încurajată să vadă că nu au fost găsite bug-uri care nu ar fi putut fi descoperite de „un cercetător uman de elită.”

„Unii comentatori prezic că viitoarele modele AI vor descoperi forme complet noi de vulnerabilități care sfidează înțelegerea noastră actuală, dar noi nu credem asta,” au spus ei. „Software-ul precum Firefox este proiectat într-un mod modular pentru ca oamenii să poată raționa despre corectitudinea sa. Este complex, dar nu arbitrar de complex.”

Rezultatele, însă, sugerează că instrumentele AI ar putea permite dezvoltatorilor să descopere un număr mare de vulnerabilități înainte ca atacatorii să le exploateze – deși, invers, în mâini greșite, ar putea crea probleme mari atât firmelor de software, cât și utilizatorilor.

Lansat în martie, Mythos este cel mai avansat model al Anthropic pentru raționament, codare și sarcini de securitate cibernetică. Materialele interne ale companiei descriu sistemul ca parte a unui nou nivel de model dincolo de seria anterioară Opus a companiei.

Testele efectuate înainte de lansarea modelului au arătat că acesta ar putea identifica mii de vulnerabilități necunoscute anterior în sistemele de operare majore și browserele web.

Anthropic a limitat accesul la sistem printr-un program restricționat numit Project Glasswing, care oferă anumitor companii de tehnologie – inclusiv Amazon, Apple și Microsoft – capacitatea de a utiliza modelul pentru a scana software-ul în căutarea punctelor slabe. Aceasta reflectă un efort crescând în industria securității cibernetice de a utiliza sistemele AI pentru a identifica și corecta vulnerabilitățile înainte ca atacatorii să le poată exploata.

Cu toate acestea, aceeași tehnologie ar putea permite și noi forme de atacuri cibernetice. Cercetătorii în securitate spun că sistemele AI capabile să analizeze codul la scară largă ar putea automatiza descoperirea vulnerabilităților exploatabile în software-ul utilizat pe scară largă.

După lansarea Mythos, testele efectuate de Institutul de Securitate AI din Marea Britanie au constatat că AI-ul ar putea executa autonom operațiuni cibernetice complexe, inclusiv finalizarea unei simulări de atac pe o rețea corporativă în mai multe etape, fără asistență umană. Aceste capacități au atras atenția atât a guvernelor, cât și a agențiilor de informații.

În ciuda unui apel din partea administrației președintelui Donald Trump de a înceta utilizarea tehnologiei Anthropic din cauza unui conflict privind utilizarea sa în chestiuni de război și supraveghere, luni, Agenția Națională de Securitate s-a dovedit a rula Claude Mythos Preview pe rețele clasificate, conform unor surse familiare cu implementarea. Utilizarea Mythos subliniază interesul crescând în rândul agențiilor de securitate din SUA pentru capacitatea modelului de a identifica vulnerabilități critice de software.

Performanța modelului a expus, de asemenea, limitele sistemelor existente de evaluare a AI. La începutul acestei luni, Anthropic a recunoscut că mai multe benchmark-uri de securitate cibernetică nu mai sunt suficiente pentru a măsura capacitățile celor mai noi modele ale sale.

Mozilla a declarat că rezultatele indică o potențială schimbare în securitatea cibernetică, unde apărătorii ar putea începe să elimine avantajul de lungă durată pe care l-au avut atacatorii.

„Suntem extrem de mândri de modul în care echipa noastră a răspuns acestei provocări, și alții o vor face,” a scris Mozilla. „Munca noastră nu este terminată, dar am depășit un prag și putem zări un viitor mult mai bun decât simpla menținere a pasului. Apărătorii au în sfârșit șansa de a câștiga, decisiv.”

Mozilla nu a răspuns imediat unei solicitări de comentarii din partea Decrypt.